Il phishing potenziato dall’intelligenza artificiale non è più la solita email scritta male che si riconosce a colpo d’occhio. Oggi i messaggi fraudolenti possono sembrare coerenti, personalizzati e perfettamente inseriti nel contesto aziendale, con un impatto diretto su credenziali, pagamenti, documenti e continuità operativa. Per una PMI questo significa una cosa semplice: non basta più “stare attenti”, serve un metodo più maturo di difesa, che unisca persone, procedure e strumenti.
Cosa è cambiato con il phishing generato dall’AI
Per anni molte aziende hanno affrontato il phishing come un rischio relativamente prevedibile: email con errori grammaticali, richieste poco credibili, allegati sospetti facili da individuare. Questo schema oggi regge molto meno.
Secondo quanto evidenziato il 15 settembre 2026 da Agenda Digitale, l’intelligenza artificiale sta cambiando il modo in cui i criminali costruiscono campagne di phishing e social engineering. I messaggi possono citare progetti reali, usare un tono plausibile, richiamare colleghi, clienti o fornitori esistenti e adattarsi al destinatario con maggiore precisione.
In pratica, il problema non è solo che aumentano i tentativi di truffa. Il problema è che aumenta la loro qualità. E quando una comunicazione appare credibile, la probabilità di errore umano cresce anche in uffici ben organizzati.
Questo sposta il tema della sicurezza da una semplice attività tecnica a una questione di cultura operativa. Se un messaggio sembra autentico, il filtro non può essere solo visivo: bisogna abituarsi a verificare richieste, contesti, urgenze e canali.
I numeri che devono far riflettere le imprese
La fonte richiama i dati del Cybersecurity Hygiene Report 2026 di WatchGuard, che fotografano un problema molto concreto nella preparazione delle persone.
Il 23% dei lavoratori, secondo la ricerca, non ha mai ricevuto una formazione specifica sul phishing prima di iniziare a gestire email aziendali, documenti condivisi e credenziali di accesso. In altre parole, quasi un lavoratore su quattro entra in azienda senza gli strumenti minimi per riconoscere una delle minacce più comuni.
Altri due dati meritano attenzione:
- il 26% degli intervistati dichiara di aprire allegati o cliccare link provenienti da mittenti sconosciuti;
- solo il 25% verifica abitualmente l’autenticità di un collegamento prima di aprirlo.
Questi numeri descrivono una situazione tipica anche nelle PMI: le persone usano ogni giorno posta elettronica, file condivisi, cloud e piattaforme collaborative, ma non sempre hanno sviluppato abitudini di verifica davvero efficaci.
La ricerca segnala anche un limite nella formazione continua. Quasi metà dei dipendenti riceve corsi di awareness una volta all’anno, mentre meno di un terzo partecipa a sessioni mensili. In un contesto in cui le tecniche di attacco evolvono rapidamente, un aggiornamento sporadico rischia di essere insufficiente.
Perché le email AI sono più difficili da riconoscere
L’aspetto più delicato non è soltanto la personalizzazione. È la scomparsa degli indizi tradizionali.
Molti programmi di formazione degli anni scorsi hanno insegnato a cercare segnali evidenti: errori di lingua, impaginazione approssimativa, formule innaturali, indirizzi palesemente strani. Ma se l’AI consente di produrre messaggi formalmente corretti, coerenti con il lessico dell’azienda e con riferimenti plausibili, quei segnali diventano meno utili.
La fonte cita anche un dato molto forte: campagne di phishing generate con il supporto dell’intelligenza artificiale possono raggiungere un tasso di clic del 54%, contro il 12% delle campagne tradizionali. Al di là del numero in sé, il messaggio per le aziende è chiaro: l’efficacia degli attaccanti sta crescendo più velocemente di molte abitudini difensive interne.
Per questo la domanda non dovrebbe essere solo “i dipendenti sanno riconoscere una mail falsa?”. La domanda giusta è: “la nostra organizzazione sa verificare una richiesta insolita anche quando sembra vera?”.
Non è solo un tema IT: è un tema organizzativo
Nelle piccole e medie imprese c’è spesso una convinzione pericolosa: pensare che il phishing sia soprattutto un problema del reparto IT. In realtà colpisce amministrazione, commerciale, direzione, HR, acquisti e chiunque gestisca relazioni esterne.
Un messaggio ben costruito può indurre a:
- inserire credenziali su una pagina falsa;
- autorizzare un pagamento urgente;
- scaricare un allegato malevolo;
- condividere documenti riservati;
- modificare coordinate bancarie o dati anagrafici;
- aggirare una procedura interna “solo per questa volta”.
Quando accade, il danno non è solo informatico. Può diventare economico, legale, reputazionale e operativo. Per questo la risposta non può limitarsi all’antivirus o al filtro antispam. Serve una disciplina aziendale fatta di ruoli chiari, controlli minimi e comportamenti ripetibili.
Dalla formazione occasionale alle competenze digitali reali
Uno dei punti più interessanti emersi dalla notizia è che il phishing non va più affrontato solo come addestramento episodico. Richiede una competenza più ampia: la capacità di prendere decisioni prudenti in un ambiente digitale dove vero e falso si assomigliano sempre di più.
Per un’azienda questo cambia il modo di formare le persone. Non basta mostrare esempi di truffe grossolane. Bisogna allenare il personale a:
- diffidare delle urgenze inattese;
- verificare richieste sensibili con un secondo canale;
- controllare link, domini e contesto prima di agire;
- distinguere tra comodità operativa e procedura corretta;
- sapere quando fermarsi e chiedere conferma.
In sostanza, la formazione utile oggi non insegna soltanto a “scoprire l’inganno”. Insegna a non fidarsi automaticamente nemmeno di ciò che appare ben fatto.
Cosa significa per la tua azienda
Se gestisci una PMI, uno studio professionale o un ufficio amministrativo, il messaggio pratico è questo: il phishing AI va trattato come un rischio di processo, non come un incidente isolato.
Ecco le priorità più concrete.
1. Rivedi le procedure sulle richieste sensibili
Bonifici, cambio IBAN, invio di documenti riservati, reset password, accessi a piattaforme e condivisione di dati non dovrebbero mai dipendere da una sola email. Introduci sempre una verifica aggiuntiva, ad esempio telefonica o tramite canale interno già noto.
2. Riduci la fiducia automatica nella posta elettronica
Anche un messaggio scritto bene può essere malevolo. Il criterio non deve essere “sembra vero”, ma “è stato verificato”. Questo vale soprattutto per amministrazione, direzione e chi tratta fornitori e clienti.
3. Trasforma la formazione in abitudine
Un corso annuale è meglio di niente, ma spesso non basta. Meglio sessioni brevi e frequenti, esempi attuali e simulazioni mirate per i reparti più esposti. La sicurezza funziona quando diventa comportamento quotidiano.
4. Rafforza le difese tecniche di base
Filtri email, protezione degli endpoint, gestione centralizzata dei dispositivi e controllo degli accessi restano indispensabili. Non sostituiscono l’attenzione umana, ma riducono il margine di errore. Su questo fronte può essere utile una revisione della tua postura di sicurezza informatica.
5. Prepara un piano per quando qualcuno clicca
Il punto non è evitare ogni errore, ma limitare i danni quando succede. Devi sapere chi avvisare, come isolare un dispositivo, come cambiare credenziali e come verificare se ci sono stati accessi anomali o esfiltrazione di dati.
6. Proteggi backup e continuità operativa
Molte campagne di phishing sono la porta d’ingresso per malware e ransomware. Un sistema di remote backup affidabile è una misura concreta per ridurre fermo operativo e perdita di dati.
7. Considera anche il profilo privacy
Se da un attacco derivano accessi non autorizzati a dati personali, il tema non è solo tecnico ma anche organizzativo e normativo. Vale la pena verificare periodicamente procedure, ruoli e registri in ottica GDPR.
Perché il tema parte anche dalla cultura digitale
La notizia insiste su un punto importante: la difesa non può iniziare soltanto quando una persona entra in azienda. In prospettiva, il tema riguarda scuola, cittadinanza digitale e capacità diffuse di muoversi in modo critico online.
Per le imprese questo ha una conseguenza pratica: non bisogna dare per scontato che chi usa strumenti digitali sappia automaticamente valutare rischi, autenticità e attendibilità delle comunicazioni. Saper usare email, chat, cloud e piattaforme non coincide con il saperle usare in sicurezza.
Ecco perché le aziende più solide saranno quelle che investiranno non solo in tecnologia, ma anche in linguaggi semplici, procedure comprensibili e micro-regole applicabili da tutti. La cybersecurity, soprattutto nelle PMI, funziona quando è chiara.
Domande frequenti
Il phishing con AI colpisce solo le grandi aziende?
No. Le PMI sono spesso bersagli ideali perché hanno meno controlli formali, meno personale dedicato e processi più veloci, quindi più facili da sfruttare con richieste credibili e urgenti.
Un buon filtro email basta a proteggersi?
No. I filtri aiutano, ma non fermano tutto. Se un messaggio passa ed è convincente, serve che chi lo riceve sappia verificare prima di agire.
Qual è la prima misura pratica da adottare?
Introdurre una regola semplice: nessuna richiesta sensibile ricevuta via email si esegue senza una seconda verifica su un canale diverso e già noto.